2026年9月 セキュリティインシデントニュースまとめ

2026年9月に公表された主なセキュリティインシデント

三井不動産株式会社（対象：システム）

2026年8月28日、同社が利用する一部のシステムへの不正アクセスが確認され、調査の結果、同システムに係る資格情報が不正に利用され、第三者から情報の一部を閲覧された可能性があることが確認されました。漏えいした可能性のある個人情報は、同社および同社グループ会社の役職員等の情報が最大19,000件、社外関係者の情報が最大36,000件とされています。なお、業務情報（メール、チャット、ファイル等）やパスワードなどの漏えいは確認されていません。（2026年9月1日公表）

株式会社TRUNK（対象：メールアカウント）

同社従業員のメールアカウントが第三者による不正アクセスを受け、同社が保有する情報の一部が外部に漏えいしたことが判明しました。また、不正に情報を取得した第三者が、同社および同社従業員になりすまして不審メールを送信していたことも確認されています。漏えいした可能性のある情報の件数（人数）は424件とされています。（2026年9月1日公表）

東京科学大学（対象：情報基盤）

同学の情報基盤が第三者による不正アクセスを受け、個人情報が漏えいした疑いがあることが判明しました。漏えいの疑いがある情報は、東京科学大学ならびに、旧東京工業大学および旧東京医科歯科大学の大学統合当時に在籍していた学生・教職員など構成員に関する個人情報とされています。なお、同学病院の患者に関する情報の漏えいは確認されていません。（2026年9月7日公表）

株式会社Healing Paper（対象：Unni（カンナムオンニ））

2026年9月4日、同社が運営する美容医療の情報プラットフォーム「Unni（カンナムオンニ）」において、相談履歴を照会する連携機能（API）に対する不正なアクセスが発生し、一部の顧客の個人情報が漏えいしました。9月5日にも同一の攻撃者による別経路からの再アクセスが確認されています。漏えい対象者は合計219,665名で、うち日本は約4.8万名とされています。（2026年9月7日公表）

REVISIO株式会社（対象：業務用PC）

2026年3月20日、同社役職員が使用する業務用PC1台のマルウェア感染および不審な挙動が確認されたため、ただちに当該PCをネットワークから遮断。各種アカウントも停止されました。外部専門会社によるフォレンジック調査の結果、外部からのリモート接続やサーバーへの不正アクセスは確認されなかったものの、当該PC内部のローカル環境に保存されていた取引先および同社関係者に関する個人情報について、外部漏えいの可能性を否定できないとの報告がなされました。（2026年9月8日公表）

立教大学（対象：Googleアカウント）

2026年4月27日から8月24日にかけて、同学の学生4名および卒業生2名の合計6名のGoogleアカウントが第三者による不正アクセスを受け、当該アカウントから学外に向けて合計17,668件の迷惑メールが送信されました。また、送信された迷惑メールの件名に、各アカウント内の受信トレイに保存されていたメールに由来すると考えられる内容が含まれていたため、メール本文や含まれる個人情報が第三者に閲覧された可能性を完全には否定できないとされています。（2026年9月8日公表）

株式会社きちりホールディングス（対象：採用管理プラットフォーム）

同社子会社の株式会社ApplyNowが提供する採用管理プラットフォーム「Interview Cloud」「ApplyNow」「ApplyNow Sign」において、データ分析ツールの脆弱性を突いた第三者による不正アクセスが発生し、顧客および応募者の個人データが外部へ漏えいした可能性があることが判明しました。2026年9月7日に異常なアクセスログが検知され、不正アクセスの痕跡も確認されました。不正アクセスが確認された期間は8月9日から9月7日までとされています。（2026年9月9日公表）

デジタル庁（対象：ガバメントソリューションサービス）

2026年6月25日、同庁が運用する「ガバメントソリューションサービス」（GSS）において、保守運用担当者のアカウントを利用したサーバ上の大量のファイルへのアクセスを検知。第三者がネットワーク接続機器（VPN）の脆弱性を利用してシステムに侵入し、不正アクセスを行っていたことが7月9日に判明しました。
外部専門事業者の協力を得た調査の結果、GSS利用機関の職員やその業務に携わった事業者などに関する個人情報約24.6万件が外部に漏えいした可能性があることが確認されました。なお、一般の個人の情報は含まれていないとされています。（2026年9月11日公表）

ロート製薬株式会社（対象：通信販売で利用しているシステム）

2026年9月10日、同社の通信販売で利用しているシステムにおいて、第三者による不正アクセスの可能性がある事象が確認されました。
なお、9月15日の続報では、不正アクセスについて調査が行われた結果、通信販売の顧客対応に利用しているシステムに保存されている顧客との通話音声データおよびこれに付随する情報が、第三者により不正に取得された可能性があるとされています。また、同社が利用する顧客管理システムについても、不正アクセスにより情報が取得された可能性があると公表されています。（2026年9月11日、9月15日公表）

株式会社ハルメク（対象：「HALMEK up」管理画面）

2026年9月9日、同社グループのWEBサイト「HALMEK up」の管理画面への不正アクセスが確認されました。不正アクセスは社員1名のID・PASSWORDが窃取されたことによるもので、調査では顧客管理情報へのアクセスはログで確認されていないとされています。（2026年9月11日公表）

株式会社小田原エンジニアリング（対象：メールアカウント）

2026年8月31日、同社から子会社のOdawara Automation Deutschland GmbHへ出向していた従業員のメールアカウントで第三者による不正アクセスの痕跡が確認されました。調査の結果、同年3月27日から8月31日までの間、第三者が当該アカウントに継続的にアクセスし、メールを閲覧していたことが判明しました。閲覧が確認されたメールは約3,500通で、取引先の個人情報が閲覧された可能性があるとされています。また、第三者が同社従業員になりすまして取引先宛てに入金を指示するメールを送信し、一部の取引先で金銭的な被害が生じていることも確認されました。（2026年9月15日公表）

大阪市（対象：録画面接システム）

2026年9月11日、同市行政委員会事務局の採用試験で利用している録画面接システムの提供事業者からの報告により、同システムが第三者からの不正アクセスを受け、採用試験申込者106名の個人情報が漏えいした可能性があることが判明しました。不正アクセスは8月9日から9月7日にかけて行われたとされています。原因は、録画面接システムの提供事業者が利用しているデータ分析ツールが不正アクセスを受けたことによるものとされています。（2026年9月15日公表）

株式会社LEAN BODY（対象：データ分析ツール）

2026年9月8日に異常が検知され、調査が行われた結果、同社が社内のデータ分析に利用していたツール「Metabase」の脆弱性を悪用した第三者による不正アクセスにより、同社データベースから顧客情報が取得されたことが確認されました。同社環境に対する最初の不正アクセスは8月11日とされており、8月31日、9月7日、9月9日に顧客情報が取得されたとされています。対象のアカウント件数は、退会者を含めて約44万件と公表されています。（2026年9月15日公表）

あいの風とやま鉄道株式会社（対象：座席管理システム）

2026年9月8日朝、同社が運営する観光列車「一万三千尺物語」の座席管理システムで、複数の予約のキャンセルや正規の手順で行われていない予約が確認され、すべての新規予約の受付が停止されました。調査の結果、9月2日から9月8日までに複数回、外部からの不正アクセスを受けていたことが判明し、1,409名の顧客情報が漏えいしたおそれがあることが確認されました。（2026年9月15日公表）

株式会社Helpfeel（対象：画像共有サービス「Gyazo」）

2026年9月11日、同社が提供する画像共有サービス「Gyazo」の画像アップロードサーバーに存在した脆弱性を悪用し、第三者がシステム上で任意のコマンドを実行する不正アクセスが発生しました。その後の調査で、第三者が「Gyazo」のデータベースにアクセスし、ユーザーに関するデータ約2,362万件と、画像に関するメタデータ約4.9億件（さらに、別途条件を絞って取得された約240万件）が外部に流出したことが確認されました。クレジットカード番号等の決済情報は流出していないとされています。（2026年9月16日公表）

株式会社スコア・ジャパン（対象：Webサイト）

2026年9月14日9時14分頃、同社が運営するウェブサイトが第三者による不正アクセスを受け、トップページが改ざんされる事象が発生しました。この影響により、検索サイト等を経由して同社サイトを閲覧した顧客が、同社とは無関係なサイトへ誘導される状態となっていました。調査の結果、顧客の個人情報等の外部への漏えいはないとされています。（2026年9月16日公表）

株式会社南日本情報処理センター（対象：Webサイト）

同社Webサイトに対する第三者による不正アクセスが確認され、一部ページが改ざんされる事象が発生しました。調査の結果、顧客の個人情報の漏えいやシステム内部への不正侵入は確認されていないとされています。（2026年9月17日公表）

ちばぎん商店株式会社（対象：サーバー）

2026年9月3日13時頃、同社のコーポレートサイトにオンラインカジノに関するコンテンツが表示されていることが確認され、同サイトに係るサーバーへの第三者による不正アクセスが発覚しました。同サーバーに保存されていた顧客の個人情報に漏えいのおそれがあり、対象は個人の顧客約192先、法人の顧客約722先のほか、メールアドレスのみの顧客約7,670先とされています。なお、個人情報の外部への送信を示す証跡は確認されていません。（2026年9月17日公表）

株式会社クア・アンド・ホテル（対象：予約管理システム）

同社が宿泊予約情報の管理・連携に利用しているシステム「TEMAIRAZU」に対して第三者による不正アクセスがあり、宿泊者情報の一部が第三者に閲覧または取得された可能性があるとの報告が、提供会社の手間いらず株式会社からなされました。2026年9月23日に公表された、宿泊予約をした一部の顧客に不審なメールやメッセージが送信されている事象と、今回の不正アクセスとの具体的な関係については調査中とされています。（2026年9月23日、9月29日公表）

井筒まい泉株式会社（対象：採用管理プラットフォーム）

同社がアルバイトの採用面接業務を委託している株式会社ApplyNowが提供する採用管理プラットフォームへの第三者による不正アクセスが発生し、同社への応募者の個人情報が外部に漏えいしたことが判明しました。（2026年9月25日公表）

株式会社スマレジ（対象：「スマレジEC・リピート」および「スマレジEC・B2B」）

同社が提供する「スマレジEC・リピート」および「スマレジEC・B2B」において、顧客の管理画面のログイン機能に存在した脆弱性を悪用し、第三者が一部の顧客環境へ不正アクセスを行っていたことが確認されました。影響を受けた可能性のある顧客環境は4社で、対象環境では一部の個人データが第三者に閲覧または取得された可能性があるとされています。（2026年9月25日公表）

株式会社ファインズ（対象：予約システム）

2026年9月22日、同社が提供する予約システムにおける異常が検知され、調査の結果、第三者による不正アクセスが確認されました。対象件数は1,536,322件で、予約者の情報が対象とされています。（2026年9月25日公表）

キューサイ株式会社（対象：委託先サーバ）

2026年7月13日、ニチレイグループがサイバー攻撃を受け、一部のサーバーに保管されていた顧客の個人情報に対して外部から不正アクセスが行われた可能性があることが判明しました。
外部の専門家による調査等の結果、キューサイ株式会社が商品の保管・配送業務を委託している株式会社ニチレイ・ロジスティクス九州が保有していた同社の顧客の個人情報の一部（484名分）が外部に漏えいしたことが確認されました。（2026年9月25日公表）

LEGOLAND Japan合同会社（対象：オンライン予約プラットフォーム）

同社がレゴランド・ジャパン・ホテルの公式予約サイトに利用しているオンライン予約プラットフォームを運営するAmadeus IT Group, S.A.社から、予約情報に含まれる一部の連絡先情報が不正アクセスされたことが判明したとの報告がなされました。影響を受けた可能性のある予約は1,557件とされ、クレジットカード情報などの決済情報やパスワード等へのアクセスは確認されていないと公表されています。（2026年9月25日公表）

ニッポンレンタカーサービス株式会社（対象：ニッポンレンタカーアプリ）

同社が運営する「ニッポンレンタカーアプリ」のシステムに対し、第三者による不正アクセスが発生し、会員の情報が不正に閲覧されたおそれがあることが確認されました。
対象となる会員は41名であり、閲覧されたおそれのある情報は、氏名・電話番号・メールアドレス・ログインID・利用履歴・予約情報です。なお、運転免許証情報・クレジットカード番号・名義人名を登録した会員については、運転免許証情報（免許証番号、住所、生年月日）・クレジットカード番号下4桁・名義人名も閲覧されたおそれがあります。（2026年9月26日公表）

株式会社京王プラザホテル（対象：サーバ）

2026年9月26日未明、同社のサーバーへのランサムウェア攻撃が確認され、システムの一部に支障が生じました。情報漏えいの事実は確認されていないとされ、ホテルの営業にも支障はないと公表されています。（2026年9月26日公表）

有限会社絵具屋三吉（対象：ECシステム「ショップサーブ」）

2026年9月25日、株式会社Eストアーからの連絡により、同社がオンラインストアの運営に利用しているECシステム「ショップサーブ」への外部からの不正アクセスによる個人情報漏えいについて、同社のオンラインストアを利用した顧客の情報も対象となっていることが確認されました。（2026年9月26日公表）

東京地下鉄株式会社（対象：メトポ会員向けサービス）

同社の「メトポ会員向けサービス」において第三者による不正なアクセスが行われ、メールアドレス約59,000件が閲覧または取得された可能性があることが判明しました。不正アクセスを受けたのは、メールの送信不能により同社側で配信を停止しているメールアドレスが格納されたサーバーで、メールアドレス以外の会員情報は含まれていないことが確認されています。（2026年9月27日公表）

大東ガス株式会社（対象：委託先社内ネットワーク）

同社が顧客情報の管理に利用しているシステムサービス提供事業者、株式会社両毛システムズの社内ネットワークへの不正アクセス事案が発生し、2026年9月24日に、同社の顧客情報を含むファイルが外部へ流出した可能性があるとの報告がなされました。過去に同社と両毛システムズとの間で業務上取り扱ったファイルが両毛システムズの社内ネットワーク内に残存していたもので、2023年11月から2024年4月の間に同社を利用していた顧客約124,000件の情報が含まれていた可能性があるとされています。（2026年9月28日公表）

株式会社集英社（対象：HAPPY PLUS COMMUNITY（ハピコミュ））

2026年9月9日、同社のファッション誌メディアで活動するブロガーの情報管理・連絡用システム「HAPPY PLUS COMMUNITY（ハピコミュ）」が外部の第三者による不正アクセスを受け、システム内のデータが閲覧・取得された可能性があることが、ユーザーからの通報により発覚しました。
調査の結果、登録されているブロガー2,835名の個人情報および各種情報等が閲覧・取得された可能性があり、漏えいしたことが判明。原因は、利用しているCMSの設定の不備に起因するAPI認証情報を狙った攻撃を受け、特権ユーザーアカウントが不正に作成され、API リクエストを繰り返し実行されたことと考えられています。（2026年9月28日公表）

手間いらず株式会社（対象：TEMAIRAZUシリーズ）

2026年9月21日深夜頃から、複数の宿泊予約サイトを一元管理できるオンラインシステムである同社の「TEMAIRAZUシリーズ」を利用する宿泊施設の予約者に対し、予約に関する不審なメッセージが届いている事象が確認され、調査の過程で同社システムへの不正アクセスがあったことも判明しました。不審なメッセージは不正アクセスに起因する可能性があるとされ、宿泊者情報の一部が第三者に閲覧または取得された可能性が否定できない状況と公表されています。（2026年9月28日公表）

株式会社ホロニック（対象：予約管理システム）

同社が運営する一部のホテル・宿泊施設で利用している予約管理システム「TEMAIRAZU（手間いらず）」に対して第三者による不正アクセスが確認され、宿泊予約に関する情報の一部が第三者に閲覧または取得された可能性があるとの報告が、手間いらず株式会社からなされました。宿泊予約のうち、2026年9月21日までに成立し、宿泊日が9月21日以降のものの一部について、予約者に不審なメッセージが送信されている事象が確認されています。（2026年9月29日公表）

株式会社リゾート花湯の森（対象：予約管理システム）

同社が使用する予約管理システム「手間いらず」において、顧客の個人情報が外部に漏えいした可能性があることが判明しました。宿泊予約のうち、2026年9月21日までに成立し、宿泊日が9月21日以降の予約の一部について、予約者に不審なメッセージが送信されている事象が確認されています。（2026年9月29日公表）

株式会社日建ホテルマネジメント（対象：予約管理システム）

「フェリスヴィラスイート 宮古島・上野」が利用している予約システムの運営会社である手間いらず株式会社のシステムに対する、第三者による不正アクセスが確認され、顧客の個人情報の一部が外部に漏えいした可能性があることが判明しました。宿泊予約が2026年9月21日までに成立し、宿泊日が9月21日以降である一部顧客に対し、宿泊予約に関する内容を装った不審なメッセージが送信されている事象も確認されています。（2026年9月29日公表）

株式会社セイコーマート（対象：セイコーマートアプリ）

2026年9月24日の22時から23時の間に、不正にクラブカードの退会処理が行われたアカウントが1件あり、9月28日17時過ぎに、「セイコーマートアプリ」のサーバーを経由して会員情報を保有するサーバーに第三者が不正にアクセスした可能性があることが判明しました。不正アクセスを受けた可能性のあるユーザーID数は約57万アカウントで、パスワード情報は漏えいしていないとされています。9月28日20時に当該サーバーへの接続が停止され、新規入会やマイページへのログイン等も停止されました。（2026年9月29日公表）

株式会社イープラス（対象：チケット販売プラットフォーム「イープラス」）

2026年9月11日19時58分から9月12日2時44分にかけて、同社が運営するチケット販売プラットフォーム「イープラス」の電子チケット「スマチケ」管理システムのうち、公演中止・延期等に伴う払戻し情報を管理するシステムに対し、第三者からの不正アクセスが複数回発生しました。9月14日から15日にかけて不正アクセスおよび個人情報漏えいの事実が確認され、漏えいした個人情報は合計1,463件とされています。なお、当該システムは会員情報やチケット購入に関する情報を保管するデータベースとは独立しており、会員のクレジットカード情報やパスワードなどは漏えい対象に含まれていないと公表されています。（2026年9月29日公表）

株式会社ユニリタ（対象：社内システム）

2026年9月28日13時30分頃、同社の機密情報を含む各種情報を窃取したとの情報がwebサイトにて公表されている事実が確認されました。不正アクセスおよび情報の窃取が確認されたのは特定の社内文書管理システムに限定され、機密情報の改ざんや欠損は確認されていません。なお、システム障害等は発生しておらず、業務に支障は生じていないとされています。（2026年9月29日公表）

ジー・プラン株式会社（対象：「Gポイント」システム）

2026年9月25日、同社が提供する「Gポイント」のシステムにおいて異常が検知され、調査の結果、外部からの不正アクセスを受けていたことが判明しました。同日、システムが停止され、「Gポイント」関連サービスの提供も停止されています。漏えいした可能性がある情報は、最大約7万件の会員識別子とされています。（2026年9月30日公表）

名張近鉄ガス株式会社（対象：委託先ファイルサーバー）

同社が顧客情報の管理を委託している株式会社両毛システムズのファイルサーバーがランサムウェアによる不正アクセスを受け、顧客情報の一部が漏えいした可能性があることが判明しました。対象はプロパンガスを使用している顧客で、漏洩した可能性のある顧客情報の件数は約6,800件とされています。（2026年9月30日公表）

関連記事